BDU:2025-10921

Опубликовано: 23 дек. 2020

Источник: fstec

CVSS3: 5.5

CVSS2: 4.9

EPSS Низкий

Описание

Уязвимость утилиты командной строки для преобразования PDF документов QPDF связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

АО «ИВК»

АО "НППКТ"

Jay Berkenbilt

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

РЕД ОС

Альт 8 СП

ОСОН ОСнова Оnyx

QPDF

Версия ПО

16.04 LTS (Ubuntu)

18.04 LTS (Ubuntu)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

- (Альт 8 СП)

9 (Red Hat Enterprise Linux)

до 2.8 (ОСОН ОСнова Оnyx)

13 (Debian GNU/Linux)

от 10.0.0 до 10.0.4 включительно (QPDF)

от 9.0.0 до 9.1.1 включительно (QPDF)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

Canonical Ltd. Ubuntu 18.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

АО «ИВК» Альт 8 СП -

Red Hat Inc. Red Hat Enterprise Linux 9

АО "НППКТ" ОСОН ОСнова Оnyx до 2.8

Сообщество свободного программного обеспечения Debian GNU/Linux 13

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для QPDF:

https://security.gentoo.org/glsa/202401-20

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2021-36978

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2021-36978

Для Ubuntu:

https://ubuntu.com/security/CVE-2021-36978

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Обновление программного обеспечения qpdf до версии 8.4.0-2osnova2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-36978
CVE

EPSS

Процентиль: 24%

0.00079

Низкий

5.5 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

ROS-20250827-02

CVSS3: 5.5

redos

5 месяцев назад

Уязвимость qpdf

CVE-2021-36978

CVSS3: 5.5

ubuntu

больше 4 лет назад

QPDF 9.x through 9.1.1 and 10.x through 10.0.4 has a heap-based buffer overflow in Pl_ASCII85Decoder::write (called from Pl_AES_PDF::flush and Pl_AES_PDF::finish) when a certain downstream write fails.

CVE-2021-36978

CVSS3: 7.8

redhat

около 5 лет назад

CVE-2021-36978

CVSS3: 5.5

nvd

больше 4 лет назад

CVE-2021-36978

CVSS3: 5.5

debian

больше 4 лет назад

QPDF 9.x through 9.1.1 and 10.x through 10.0.4 has a heap-based buffer ...

EPSS

Процентиль: 24%

0.00079

Низкий

5.5 Medium

CVSS3

4.9 Medium

CVSS2